Модель трёх линий защиты

Что это значит

Модель трёх линий, изначально модель трёх линий защиты, - рамка распределения задач в области управления рисками и внутреннего контроля. Её продвигает Институт внутренних аудиторов, и она применяется в банках, страховых компаниях и крупных фирмах. Цель - чтобы было ясно, кто владеет рисками, кто за ними надзирает и кто независимо проверяет, что система работает.

Первую линию образуют операционные подразделения и их руководители, которые создают риски и управляют ими в повседневной работе: настраивают процессы, утверждают операции, применяют разделение обязанностей. Вторую линию образуют функции управления рисками, комплаенса, контроллинга или информационной безопасности, которые устанавливают правила, дают методику и следят, правильно ли действует первая линия.

Третью линию образует внутренний аудит, который независимо оценивает, эффективно ли работают первые две линии. Он отчитывается напрямую высшему руководству и органам надзора, например комитету по аудиту или наблюдательному совету. Внешний аудитор и регуляторы находятся вне организации и иногда считаются дополнительной линией.

Как это работает на практике

В небольшой фирме не обязательно создавать отдельные подразделения для каждой линии. Но принцип действует: кто совершает операции, не должен сам их контролировать, и кто-то независимый должен время от времени проверять, работают ли правила. Второй линией может быть финансовый директор или внешний консультант, третьей - внешняя проверка или внутренний аудит на заказ.

При внедрении рекомендуем составить карту основных рисков фирмы и по каждому определить, кто его владелец в первой линии, кто устанавливает правила и отслеживает показатели во второй и как часто его проверяет третья. Результат - понятная матрица ответственности, которая не допускает ситуации, когда риском никто не занимается.

Обновлённая модель 2020 года делает меньший акцент на защите и больший - на сотрудничестве. Линии не должны работать как изолированные силосы, а должны общаться и обмениваться информацией. Руководство и надзорные органы отвечают за то, чтобы рамка в целом соответствовала размеру и рискам фирмы.

На что обратить внимание

Частая ошибка - пересечение и путаница в задачах. Если вторая линия начинает сама принимать решения первой, она теряет независимость, и ответственность размывается. Так же внутренний аудит, который проектирует и внедряет процессы, не может потом независимо их оценивать. У каждой линии должна быть чётко определённая роль.

Модель не работает, если руководство воспринимает её как формальность. Отчёты второй и третьей линии должны вести к решениям и корректирующим мерам, выполнение которых отслеживается. Если выводы из года в год повторяются без изменений, система не защищает фирму, а лишь создаёт бумажный след.